Een ransomwarecampagne genaamd C3RB3R richt zich op Synology network-attached storage (NAS)-apparaten, en het patroon is bekend: apparaten met verouderde besturingssysteemsoftware zijn degenen waarvan de bestanden worden versleuteld. Als je familiefoto's, zakelijke documenten of back-ups op een Synology-box bewaart, komt C3RB3R Synology NAS-ransomwarebescherming neer op een korte lijst gewoonten die je vandaag kunt beginnen.

Dit bericht loopt door hoe de aanval werkt, hoe je een echt incident van een bluf kunt onderscheiden, en wat je eraan moet doen.

Hoe de C3RB3R-aanval op Synology NAS werkt

Volgens de berichtgeving van Kaspersky vallen C3RB3R-ransomwareaanvallen Synology NAS-apparaten aan die verouderde besturingssystemen draaien en versleutelen de bestanden die erop zijn opgeslagen. Sommige community- en beveiligingsartikelen verwijzen naar dezelfde activiteit als LOCK3D of L0CK3D, dus je kunt tijdens je onderzoek meerdere spellingen tegenkomen.

Een NAS is om een simpele reden een aantrekkelijk doelwit: het is waar mensen hun gegevens concentreren. Documenten, foto's, gedeelde projectmappen en vaak ook back-ups staan allemaal op één plek, en het apparaat is vaak vanaf het internet bereikbaar voor externe toegang. Wanneer de software op dat apparaat achterloopt met updates, hebben aanvallers meer ruimte om te werken.

De druk stopt niet bij versleuteling. Als het slachtoffer weigert te betalen, dreigen de criminelen de gestolen gegevens openbaar te maken. Ze kunnen slachtoffers per e-mail of via sociale media benaderen met deze eisen.

Echte versleuteling of afpersingsscam: hoe je het kunt herkennen

Niet elk dreigend bericht betekent dat je bent gehackt. Kaspersky merkt op dat dergelijke dreigingen vaak niets meer zijn dan een scam, een patroon dat het apart heeft behandeld in zijn bericht over hoe oplichters e-mail gebruiken voor chantage en afpersing. Massaal verzonden eisen die beweren dat ze je gegevens hebben, komen veel voor, en veel ervan zijn blufberichten die naar duizenden mensen zijn gestuurd zonder daadwerkelijke toegang.

De NAS zelf is het beste bewijs. Een paar praktische controles:

  • Kijk naar je bestanden. Als documenten ontoegankelijk zijn, hernoemd zijn of vergezeld gaan van een losgeldbriefje op het apparaat, heb je waarschijnlijk te maken met een echte versleutelingsgebeurtenis. Als alles normaal opent, is een e-mail alleen waarschijnlijk een loze dreiging.
  • Controleer het apparaat, niet het bericht. Log rechtstreeks in op de DSM-interface (niet via een link in een e-mail) en bekijk wat er op het systeem gebeurt.
  • Wees eerlijk over het risico. Kaspersky is duidelijk dat als je NAS daadwerkelijk is versleuteld, je gegevensdiefstal niet kunt uitsluiten. Behandel een echt versleutelingsincident ook als een mogelijk datalek, niet alleen als een beschikbaarheidsprobleem.

Het onderscheid is belangrijk omdat de juiste reactie verschilt. Een bluf vraagt om het negeren en melden van het bericht. Een echte infectie vraagt om indamming en herstel.

Wat te doen als je NAS is versleuteld

Als de bestanden op je apparaat echt vergrendeld zijn, handel dan kalm en in volgorde.

  1. Koppel de NAS los van het netwerk. Dit helpt verdere schade te stoppen en snijdt elke externe toegang af die de aanvallers mogelijk nog hebben.
  2. Vertrouw niet op de beloften van de criminelen. Betalen garandeert niet dat je bestanden terugkomen, en het maakt diefstal die al heeft plaatsgevonden niet ongedaan.
  3. Ga ervan uit dat de gegevens mogelijk zijn gekopieerd. Denk na over wat daar was opgeslagen: persoonlijke documenten, klantinformatie, inloggegevens. Wijzig wachtwoorden voor accounts waarvan de gegevens mogelijk op het apparaat zijn bewaard, en overweeg wie op de hoogte moet worden gesteld als de gegevens toebehoren aan klanten of collega's.
  4. Herstel vanuit een schone back-up. Dit is waar offline of afzonderlijke back-ups hun waarde bewijzen. Voordat je iets opnieuw verbindt, werk je de NAS-software bij zodat je niet herstelt op dezelfde zwakke plek.
  5. Zoek professionele hulp als de gegevens bedrijfskritisch zijn. Een incident responder kan helpen vaststellen wat er is benaderd.

NAS-hardingschecklist: updates, blootgestelde services, back-ups, toegangscontroles

Synology's eigen richtlijnen, zoals weerspiegeld in de bronnen die deze campagne bespreken, wijzen op een consistente set oplossingen. Geen ervan vereist speciale expertise.

Werk alles bij. Werk DSM bij, het besturingssysteem van de NAS, en je geïnstalleerde pakketten. Synology heeft gebruikers met kwetsbare versies opgeroepen onmiddellijk bij te werken. Schakel waar mogelijk automatische updates in, en controleer het apparaat ook dan af en toe.

Sluit wat je niet nodig hebt. Open alleen services die je daadwerkelijk gebruikt. Elke blootgestelde poort of functie voor externe toegang is een deur die iemand kan proberen. Als je de NAS niet van buiten je huis of kantoor hoeft te bereiken, schakel dan directe internettoegang ernaartoe uit.

Beveilig logins. Zorg ervoor dat Auto Block, Account Protection en multi-factor authenticatie zijn ingeschakeld. Gebruik unieke, lange wachtwoorden voor beheerdersaccounts en vermijd het laten staan van standaard- of gedeelde inloggegevens.

Voer de ingebouwde controles uit. Synology Security Advisor kan het apparaat routinematig scannen op kwetsbaarheden en zwakke instellingen. Het duurt enkele minuten en vangt het soort afwijkingen op dat zich na verloop van tijd opbouwt.

Houd back-ups die ransomware niet kan bereiken. Een back-up die op dezelfde NAS staat, of op een share waar de NAS altijd naartoe kan schrijven, kan samen met al het andere worden versleuteld. Houd ten minste één kopie offline of anderszins gescheiden, en test dat je ervan kunt herstellen.

Wat dit voor jou betekent

Als je een Synology NAS bezit, is de centrale vraag of deze up-to-date is en hoe blootgesteld deze is. Verouderde software plus internettentoegankelijke toegang is de combinatie waarop deze campagne is gebouwd. Als je geen NAS gebruikt maar een e-mail krijgt die beweert dat iemand je bestanden heeft, onthoud dan dat dergelijke berichten vaak scams zijn en dat de eerste stap is om te verifiëren of er daadwerkelijk iets is gebeurd.

Voor kleine kantoren bevat een NAS vaak gegevens over andere mensen, wat de inzet verhoogt als diefstal mogelijk is. Bijwerken en toegang beperken is goedkoper dan welk herstel dan ook.

Concrete actiepunten

  • Werk DSM en alle geïnstalleerde pakketten vandaag bij, en schakel automatische updates in.
  • Sluit poorten en services voor externe toegang die je niet gebruikt.
  • Schakel Auto Block, Account Protection en multi-factor authenticatie in.
  • Voer Synology Security Advisor uit en verhelp wat er wordt gemarkeerd.
  • Houd een offline back-up aan en test een herstel.
  • Als er een chantagebericht binnenkomt, controleer eerst je bestanden voordat je reageert.

Je setup nu controleren is de meest effectieve C3RB3R Synology NAS-ransomwarebescherming die je kunt invoeren, en het kost veel minder tijd dan herstellen van een aanval.